不審な添付ファイルを開いた、PCの動作が急に遅くなった、不正アクセスが疑われる――このような場面では、早く原因を確かめたくなります。
しかし、利用者や受付担当者が独断で削除・再起動・初期化などを行うと、状況を変化させ、調査に必要な情報を失う場合があります。反対に、確実な結果が出るまで報告を待てば、対応開始が遅れます。
初動では、危険な利用を止める、定められた窓口へ内部報告する、事実を記録する、必要な権限・専門性を持つ担当者へ引き継ぐという流れで考えます。
読み終えるころには、事例の初動が独断と先送りのどちらへ寄っているかを見分け、記録すべき事実が抜けていないかを確認できるようになります。
先に結論：独断と先送りの両方を避ける
| 場面 | 適切な初動 | 避けたい行動 |
|---|---|---|
| 異常に気づいた | 利用を止め、窓口へ連絡し、規程・指示に従う | 独断の削除・再起動・初期化、報告の先送り |
| 連絡を受けた | 事実を記録し、担当部署へつなぐ | 権限外の調査や処置を進める |
| 自分では判断できない | 基準と連絡経路に従って上位者・専門組織へ引き継ぐ | 自分だけで結論や対外対応を決める |
重要なのは、自分で確定させてから報告するのではなく、疑いを認識した段階で組織の対応手順へつなぐことです。
SGシラバスでの位置付け
SGシラバス Ver.4.1の「要求される技能」8-2は、初動処理として次を求めています。
- インシデント発見時に上位者や関係部署へ連絡し、指示を仰ぐ
- 指示の下で影響の大きさ・範囲を想定し、対応策の優先順位を検討する
- 被害拡大を回避する処置を提案・実行する
- 初動処理を記録し、状況を報告する
本記事の中心はこの8-2です。
初動での優先順位付け（トリアージ）
複数の事象が同時に届いた場合は、すべてを先着順で処理するのではなく、影響の大きさ・範囲、情報資産の重要度、被害拡大の可能性などを確認して対応の優先順位を付けます。本記事では、この優先順位付けを学習上トリアージと整理します。優先度が低いことは、対応不要であることを意味しません。
なお、エスカレーションという語そのものは、同シラバスではサービスマネジメント分野のインシデント管理の用語例にも掲載されています。本記事では、初動で権限・専門性が不足する場合に上位者や専門組織へ引き継ぐ行動を、学習上「エスカレーション」と整理しています。
証拠保全は技術的セキュリティ対策の用語例にあり、技能8-5には「証拠の収集」があります。証拠保全の具体的な作法は「証拠保全とデジタルフォレンジックス」の記事で扱います。
1．異常に気づいたら、利用を止めて内部報告する
例えば、不審な添付ファイルを開いた直後にPCの挙動がおかしくなったとします。
利用者は原因究明を続けるのではなく、次のように行動します。
- PCの利用や不要な追加操作を止める
- 不審なメールやファイルを独断で削除しない
- 定められた窓口へ速やかに連絡する
- ネットワーク切断などは組織の手順・指示に従う
- 発見後に行った操作を正確に伝える
報告先は、情報セキュリティ担当者、情報システム部門、CSIRT、サービスデスク、所属部門の上司など、組織によって異なります。
2．電源断・ネットワーク切断を一律に覚えない
IPA「中小企業のためのセキュリティインシデント対応の手引き」では、初動として被害拡大のおそれがある場合にネットワーク遮断、情報・機器の隔離、システム・サービス停止を挙げています。
ウイルス感染やランサムウェア感染の例では、感染したPCやサーバの利用を停止し、ネットワークから切り離すことが示されています。
一方、同資料は、対象機器の電源を切るなどの不用意な操作で、システム上に残された記録を消さないよう注意しています。
したがって、次のような一律暗記は避けます。
- 必ず直ちに電源を切る
- 必ず何もせず待つ
- どの状況でも利用者自身が独断で切断する
- 検査結果が出るまで報告しない
組織が定めた初動手順がある場合はそれに従い、判断できない場合は不要な操作を増やさず速やかに連絡します。
3．独断の削除・再起動・初期化を避ける
| 独断で行いがちな操作 | 主な問題 |
|---|---|
| 不審なメール・ファイルを削除する | 発生状況を確認する情報を失う場合がある |
| ごみ箱を空にする | 削除対象を後から確認しにくくなる |
| 端末を再起動する | 稼働中にだけ存在する情報が失われる場合がある |
| 端末を初期化する | 記録や設定が大きく変化する |
| 同じファイルを再度開く | 不審な処理を再実行するおそれがある |
| 検査終了まで報告しない | 組織による対応開始が遅れる |
削除や再起動が常に禁止されるという意味ではありません。必要性を判断できる担当者が、組織の手順に基づいて実施します。
電源断や証拠保全の詳しい判断は「証拠保全とデジタルフォレンジックス」の記事で扱います。
4．初動の内部報告と外部への情報公開を区別する
インシデントが疑われる場面でまず必要なのは、組織内部の対応体制へつなぐことです。
- 初動時の内部報告：上位者・関係部署へ連絡し、指示を仰ぐ
- 対応中の状況報告：処置や変化を関係者へ共有する
- 外部報告・情報公開：法令、契約、影響、権限に基づいて組織として判断する
初動担当者が独断で外部公表するのは適切ではありません。一方、外部報告の可能性がある事象を、確定するまで内部で抱え込むことも避けます。
外部報告・情報公開の全体像は「インシデントハンドリングの4段階」の記事で、法令上の具体的な報告要件は法務の記事で扱います。
5．受付では推測より事実を記録する
IPAの技能8-2では、初動処理を記録し、状況を報告することが求められています。
受付時には、後の評価・調査へ引き継げるよう、例えば次を記録します。
- 検知、発見、報告、受付の時刻
- 発見者、報告者、受付者、対応者
- 対象の端末、サーバ、アカウント、情報
- 警告内容や具体的な症状
- 発見直前・発見後に行った操作
- 実施した判断・処置とその結果
- 引継ぎ先と連絡時刻
原因が分からなければ推測で埋めず、「不明」として扱います。新しい事実は、経過が追える形で追記・更新します。
初動記録では、まず何が起き、誰がいつ認識し、何を行ったかを事実として残すことが重要です。
6．権限や専門性が足りなければエスカレーションする
本記事では、受付担当者だけで判断・対処できない事象を、必要な権限や専門知識を持つ上位者・専門組織へ引き継ぐことをエスカレーションと整理します。
例えば、受付担当者に次の権限がない場合があります。
- 詳細なログを調査する
- 通信を遮断する
- アカウントを停止する
- システムを停止する
- 外部専門家へ支援を依頼する
この場合、自分で可能な限り調査してから報告するのではなく、組織が定めた基準・連絡経路に従って引き継ぎます。
基準を事前に決める
エスカレーション基準の例には、次があります。
- 重要な情報・システムが関係する
- 被害が継続・拡大している可能性がある
- 重要アカウントが関係する
- 複数部門・取引先へ影響する可能性がある
- 担当者の権限では必要な処置ができない
- 高度な技術判断・外部支援が必要である
誤報の可能性が残っていても、組織の基準に該当するなら引き上げます。
引継ぎ後も情報を途切れさせない
エスカレーションは丸投げではありません。
- 受付内容と記録を渡す
- 追加情報を共有する
- 指示された範囲で現場との連絡を続ける
- 対応経過を追記する
- 主連絡先へつながらない場合は代替経路を使う
判断権限を適切な担当者へ移しながら、情報の連続性を保ちます。
7．科目Bでの使われ方
- 報告より先に独自調査を続けていないか
- 削除・再起動・初期化で状況を変えていないか
- 規程や担当部署の指示に従っているか
- 担当者の権限を超えた操作をしていないか
- 時刻・対象・症状・実施済み操作を記録しているか
- 判断を自分だけで抱え込まず、必要な相手へ引き継いでいるか
「自分で確かめてから報告する」「誤報かもしれないので保留する」という選択肢は、初動を遅らせる場合があります。
担当者としては、疑いを認識した時点で定められた窓口へ連絡し、指示を仰ぎます。自分の権限で行える処置と、上位者や専門組織の判断が要る処置を切り分け、権限を超える操作は行いません。引き継いだ後も、受付内容と記録を渡し、追加情報が入れば共有します。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| ウイルス検査の結果が出てから報告する | 疑いを認識した段階で内部報告する |
| 必ず直ちに端末の電源を切る | 記録消失にも注意し、手順・指示に従う |
| 不審なメールを削除してから連絡する | 独断で状況を変えずに報告する |
| 再起動して改善するか確認する | 独断で再起動せず、必要な指示を受ける |
| 誤報か確認できるまで引き上げない | 基準に該当すれば上位者・専門組織へつなぐ |
| 上位者へ連絡したら受付担当者の役割は終了 | 記録と追加情報も引き継ぐ |
| 初動記録に推測を事実として書く | 確認済みの事実と不明事項を分ける |
まとめ
- SGの技能8-2は、連絡・指示、優先順位、被害拡大回避、記録・報告を初動処理として求めている
- 初動では独断の操作と報告の先送りの両方を避ける
- 異常を認識したら利用を止め、定められた窓口へ内部報告する
- ネットワーク切断や電源断を状況に関係なく一律に覚えない
- 削除、再起動、初期化などで不用意に状況を変えない
- 受付時は、時刻、関係者、対象、症状、操作、判断、処置、結果を記録する
- 権限・専門性が不足する場合は、基準と連絡経路に従って引き継ぐ
- 初動の内部報告と、外部報告・情報公開を区別する
- 証拠保全の具体的な作法は「証拠保全とデジタルフォレンジックス」の記事で扱う
関連記事
- C1-T04：ランサムウェア
- C1-T07：ソーシャルエンジニアリングとフィッシング
- C3-T07：セキュリティ対応組織と外部機関
- C5-T07：マルウェア対策
- C6-T01：インシデントハンドリングの4段階
- C6-T03：封じ込めから復旧まで
- C6-T04：証拠保全とデジタルフォレンジックス
- C7-T07：情報セキュリティ教育と訓練
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録8『中小企業のためのセキュリティインシデント対応の手引き』」
- IPA「組織における内部不正防止ガイドライン 第5版」（2022年4月改訂）
関連する問題
- 情報セキュリティマネジメント インシデント対応・事業継続 択一式（応用） 第1問〜第5問
- 情報セキュリティマネジメント インシデント対応・事業継続 択一式（応用） 第6問〜第10問
- 情報セキュリティマネジメント インシデント対応・事業継続 一問一答 第1問〜第5問
コメント